Microsoft 365 / Offboarding: Zugriff sperren und E-Mail sowie OneDrive übergeben

Beim Ausscheiden eines Mitarbeiters aus einer Microsoft-365-Organisation gilt: Zuerst den Zugriff sperren, dann die Übergabe von E-Mail- und OneDrive-Daten prüfen und erst anschließend über Lizenzentzug und Kontolöschung entscheiden. Wird die Lizenz zuerst entfernt oder das Konto sofort gelöscht, kann der Zugriff auf benötigte Daten erschwert werden. Stimmen Sie Aufbewahrungsanforderungen, rechtliche Vorgaben und die Verfahren der Personalabteilung aufeinander ab.

Entscheidungen, die vor dem Offboarding getroffen werden müssen

Erfassen Sie den Zeitpunkt der Zugriffssperre, die für die Übergabe verantwortliche Person, E-Mails/Dateien/Teams-Materialien, die aufbewahrt werden müssen, die Handhabungsmethode für persönliche und Unternehmensgeräte sowie das geplante Datum der Kontolöschung. Wenn gesetzliche Aufbewahrungspflichten bestehen oder der Mitarbeiter Gegenstand einer Untersuchung ist, konsultieren Sie rechtliche oder Sicherheitsmitarbeitende, bevor Sie mit den standardmäßigen Löschverfahren fortfahren. In einer hybriden Identitätsumgebung, die lokale und Cloud-Identitäten verbindet, überprüfen Sie auch das lokale Konto und den Synchronisierungsstatus.

Microsoft klassifiziert Offboarding-Verfahren in Zugriffssperre, Datenaufbewahrung, Geräteverwaltung, Übergabe und Kontolöschung. Die verfügbaren Methoden können je nach Organisationsrichtlinien und Lizenzen variieren.

Wählen Sie das Arbeitsziel nicht nur anhand des Anzeigenamens aus; identifizieren Sie es anhand der vollständigen Anmeldeadresse und der zugehörigen Organisation.

Erstellen Sie in der Aufgabenliste separate Einträge für „Zugriffsblockierung“, „Datenübergabe“, „Besitzerwechsel“ und „Produkt-/Kontoverwaltung“. Auch wenn der IT-Administrator die Sperrung abgeschlossen hat, ist das Offboarding insgesamt nicht abgeschlossen, wenn die Abteilung die Daten nicht überprüft hat. Prüfen Sie außerdem, ob der Benutzer der einzige Eigentümer von geteilten Teams, Gruppen oder Apps ist, und bereiten Sie einen Ersatzbesitzer vor.

Beginnen Sie mit der Sperrung des Zugriffs

1. Öffnen Sie im Microsoft 365 Admin Center Benutzer → Aktive Benutzer und überprüfen Sie die vollständige Anmeldeadresse sowie den Mandanten, bevor Sie das Konto auswählen. Verwenden Sie einen Administrator, der berechtigt ist, dieses Ziel zu verwalten; Berechtigungen zum Zurücksetzen von Passwörtern oder Beenden von Sitzungen für normale Benutzer decken nicht automatisch privilegierte Administratoren ab.
2. Sperren Sie die Anmeldung des Zielbenutzers und setzen Sie das Passwort zurück. Ziehen Sie außerdem Maßnahmen in Betracht, um bestehende Anmeldesitzungen ungültig zu machen. Gehen Sie nicht davon aus, dass das bloße Ändern des Passworts die bestehenden Sitzungen sofort beendet.
3. Überprüfen Sie die Administratorrolle, Gruppen, App-Zugriffe, Integration externer Dienste und Geräteregistrierungen und entfernen oder widerrufen Sie diese nach Bedarf. Überprüfen Sie beim Entfernen von Unternehmensdaten von einem mobilen Gerät zunächst die Auswirkungen auf persönliche Daten.

Wählen Sie in den Details des ausgewählten Benutzers Anmeldung blockieren → Anmeldung für diesen Benutzer blockieren → Änderungen speichern. Setzen Sie das Passwort zurück und verwenden Sie Konto → Abmelden von allen Sitzungen als separate Aktionen. Microsofts Zugriffsblockierungs- und Sitzungsabmeldeverfahren weist darauf hin, dass das Blockieren eines Kontos bis zu 24 Stunden dauern kann, bis es wirksam wird, und dass vorhandene Tokens oder die aktuelle Dienstsitzung die Abmeldung verzögern können. Betrachten Sie eine gespeicherte Einstellung nicht als Beweis dafür, dass jede App sofort gestoppt hat. Für dringende Eindämmungsmaßnahmen sollte das Sicherheitspersonal zusätzliche dienstspezifische Einschränkungen prüfen.

Überprüfen Sie den gespeicherten Kontostatus und die relevanten Anmeldeprotokolle. Verschaffen Sie sich nicht die Anmeldeinformationen des ehemaligen Mitarbeiters und geben Sie sich nicht als dieser aus, um das Ergebnis zu überprüfen. Die Anmeldung mit einem nicht verbundenen Testkonto zeigt nicht, dass der ausscheidende Mitarbeiter gesperrt wurde; bewerten Sie den Status dieses Kontos und die auf dessen Sitzungen durchgeführten Aktionen.

Wie übertrage ich E-Mail und OneDrive?

Wenn Geschäftskontinuität erforderlich ist, beginnen Sie damit, die Übergabemethode des E-Mail-Postfachs zu entscheiden. Die Umwandlung in ein geteiltes Postfach, das Gewähren von Zugriff für andere Mitarbeiter, das Exportieren notwendiger E-Mails usw. können jeweils unterschiedliche Lizenz- und Aufbewahrungsanforderungen haben. Automatisches Weiterleiten birgt Risiken für persönliche Informationen und externe Lecks, daher müssen die Empfänger und die Dauer genehmigt werden. Überprüfen Sie die aktuellen Unterstützungsverfahren im Microsoft E-Mail- und OneDrive-Datenübergabehandbuch .

Für den Weiterbetrieb als freigegebenes Postfach muss das Benutzerpostfach vor der Umwandlung lizenziert sein. Öffnen Sie in der englischen Oberfläche Users → Active users → der Benutzer → Mail → Convert to shared mailbox → Convert. Prüfen Sie den resultierenden Postfachtyp, bevor Sie eine Lizenz entfernen. Ohne Lizenz kann die Umwandlungsoption fehlen. Microsofts Leitfaden zur Postfachumwandlung nennt für ein nicht lizenziertes freigegebenes Postfach eine Grenze von 50 GB; größere Postfächer, Archivierung und rechtliche Aufbewahrungsfunktionen können zusätzliche Lizenzen erfordern. Die Umwandlung erlaubt daher nicht automatisch den Entzug jeder Lizenz.

Das Basisbenutzerkonto eines freigegebenen Postfachs darf nicht gelöscht werden. Selbst wenn der Benutzer gegangen ist, wird das verbundene Konto für die Verwaltung des freigegebenen Postfachs benötigt. Der direkte Login sollte weiterhin gesperrt bleiben, und dem Nachfolger Lese- und Sendeberechtigungen gewährt werden, damit er über sein eigenes Konto darauf zugreifen kann. Überprüfen Sie die Posteingangsregeln und Weiterleitungseinstellungen, da diese möglicherweise weiterhin bestehen, um sicherzustellen, dass das Postfach sich im gewünschten Zustand befindet.

Für OneDrive sollte der empfangende Eigentümer, die benötigten Dateien und der Zugriffszeitraum abgestimmt werden. Für die langfristige geschäftliche Nutzung kann es sinnvoller sein, das erforderliche Material auf eine passende SharePoint-Teamseite zu verschieben, anstatt einem anderen Mitarbeiter unbegrenzten Zugriff auf einen gesamten persönlichen Arbeitsbereich zu gewähren. Prüfen Sie nach der Übertragung bestehende Links und Empfänger.

Reihenfolge für die Prüfung und Übergabe von OneDrive-Dateien

1. Ein berechtigter Administrator öffnet Benutzer → Aktive Benutzer → den Benutzer → OneDrive → Zugriff auf Dateien → Link zu Dateien erstellen. Verwenden Sie diesen unterstützten administrativen Weg, nicht das Passwort des Mitarbeiters. Bestätigen Sie, dass das Konto und der Inhalt in einem Zustand sind, der den Zugriff unterstützt; archivierte oder auf andere Weise eingeschränkte Inhalte ohne Lizenz können zuerst eine unterstützte Lizenzierung oder Reaktivierung erfordern.
2. Legen Sie mit den fachlich Verantwortlichen die benötigten Ordner und Dateien, den endgültigen Speicherort und die Aufbewahrungsanforderungen fest. Begrenzen Sie den Zugriff auf den erforderlichen Umfang und benennen Sie die Verantwortlichen, statt einen unbefristeten Zugriff auf die gesamte persönliche Dateiablage einzurichten.
3. Verwenden Sie eine unterstützte Verschiebe- oder Kopiermethode, um die erforderlichen Dateien an das genehmigte Ziel zu übertragen, beispielsweise an eine Teamwebsite. Gehen Sie nicht davon aus, dass eine Kopie oder ein Download die Versionshistorie enthält. Der Offboarding-Leitfaden warnt vor Übertragungen nur der neuesten Version; wenn frühere Versionen aufbewahrt werden müssen, überprüfen Sie die gewählte Methode und die Zielhistorie, bevor Sie das Original entfernen. Überprüfen Sie auch Links und Berechtigungen.
4. Öffnen Sie wichtige Dokumente mit dem Konto des Nachfolgers und prüfen Sie, ob Inhalt, Berechtigungen und erforderliche Historie vorhanden sind. Beurteilen Sie die Übertragung nicht als abgeschlossen, nur weil die Anzahl der Dateien übereinstimmt.
5. Entfernen Sie temporären administrativen Zugriff, wenn er nicht mehr benötigt wird, und protokollieren Sie die Änderung. Der Übergabeleitfaden bietet einen Weg für SharePoint-Administratoren über SharePoint-Admin-Center → Weitere Features → Benutzerprofile → Öffnen → Benutzerprofile verwalten → der ehemalige Benutzer → Websitesammlungsbesitzer verwalten. Entfernen Sie den nicht benötigten Administrator aus der Liste der Websitesammlungsadministratoren und überprüfen Sie das gespeicherte Ergebnis; bewahren Sie jeden Zugriff auf, der weiterhin von einem genehmigten Besitzer benötigt wird.

Wenn das Konto oder OneDrive bereits gelöscht wurde, gilt der aktive-Benutzer-Ansatz nicht mehr. Befolgen Sie Microsofts Anleitung zur Wiederherstellung eines gelöschten OneDrive-Speichers, um festzustellen, ob eine Wiederherstellung möglich ist. Die Aufbewahrung eines gelöschten Benutzer-OneDrive ist konfigurierbar und standardmäßig auf 30 Tage festgelegt, gefolgt von einer separaten 93-tägigen gelöschten Website-Phase, während der ein SharePoint-Administrator es wiederherstellen kann. Verwechseln Sie diese Zeiträume nicht mit dem Papierkorb einer einzelnen Datei. Die Optionen des OneDrive-Tabs für aktive Benutzer im Microsoft 365 Admin Center werden für Multi-Geo-Mandanten nicht unterstützt; verwenden Sie den dokumentierten Ansatz, der für den Mandanten geeignet ist.

Überprüfungen vor Lizenzentfernung und Kontolöschung

• Bestätigen Sie, dass E-Mail, OneDrive, Teams usw. übergeben wurden und dass die zuständige Person auf die Materialien zugreifen kann.
• Prüfen Sie die Lizenzanforderungen, die für die Konvertierung von freigegebenen Postfächern oder Aufbewahrungsrichtlinien erforderlich sind. Nicht alle freigegebenen Postfächer werden immer ohne Lizenz betrieben.
• Überprüfen Sie Prüf-/gesetzliche Aufbewahrungspflichten, Wiederherstellungszeiträume und interne Aufzeichnungsregeln.
• Holen Sie dann die Genehmigung für den Zeitpunkt der Lizenzentfernung und Kontolöschung ein, führen Sie diese durch und dokumentieren Sie den Abschluss.

Ist es sicher, das Konto zu belassen, während nur die Lizenz entfernt wird?

Ein nicht lizenziertes OneDrive-Konto ist kein unbegrenzt kostenloses Archiv. Für Kunden, die unter die aktuelle Richtlinie für nicht lizenzierte Konten von Microsoft fallen, wird das Konto standardmäßig nach 60 nicht lizenzierten Tagen in den Nur-Lese-Modus versetzt und nach 93 Tagen archiviert oder gemäß dem Kontostatus und Aufbewahrungsstatus verarbeitet. Anwendbare Lizenz-, Abrechnungs- und Reaktivierungsanforderungen können den Zugriff beeinflussen. Diese Richtlinienänderungen gelten nicht für Bildungskunden, Kunden der Government Community Cloud oder Kunden des US-Verteidigungsministeriums. Der von einer Organisation konfigurierte Zeitraum für aktive Speicherung kann ebenfalls den Standardzeitpunkt ändern; siehe Microsofts Standard-Speichersteuerung für nicht lizenzierte OneDrive-Konten.

Seit dem 1. Juli 2026 gilt für betroffene nicht lizenzierte OneDrive-Konten ohne passende bezahlte Lizenz oder Abrechnungs-/Speicheroption eine kumulative Frist von 365 unbezahlten Tagen. Für Konten, die bereits am 1. Juli 2026 in diesem Zustand waren, beginnt das Löschrisiko frühestens am 1. Juli 2027. Bei späteren Fällen ist maßgeblich, wann die kumulative Frist erreicht wird. Das bloße Beibehalten des Benutzerkontos ist kein Aufbewahrungsplan. Prüfen Sie Microsofts Leitfaden zur Verwaltung nicht lizenzierter OneDrive-Konten und SharePoint-Admincenter → Berichte → OneDrive-Konten auf Status, Aufbewahrung und Abrechnungsbedingungen. Lassen Sie die zuständige Compliance-Person die erforderliche Lizenzierung, Speicherung und Archivierung genehmigen.

Der wiederherstellbare Zeitraum nach der Löschung und das Verhalten der Datenaufbewahrung variieren je nach Dienst und Einstellungen. Der endgültige Datensatz enthält den Blockstatus, Sitzungsaktionen, die Person, die die Datenübergabe bestätigt hat, ob das Konto wegen freigegebener Postfächer aufbewahrt werden soll, widerrufene Lizenzen, verbleibende Admin-/App-/Geräteberechtigungen und das nächste Überprüfungsdatum. Wenn das falsche Ziel verarbeitet wurde, stoppen Sie zusätzliche Änderungen, überprüfen Sie den aktuellen Status und die betroffenen Dienste und fahren Sie dann mit den genehmigten Wiederherstellungsverfahren fort.